本發(fā)明屬于網(wǎng)絡(luò)安全和電力自動化領(lǐng)域，特別涉及到有關(guān)變電站二次系統(tǒng)的安全防護的架構(gòu)設(shè)計。

背景技術(shù)：

隨著變電站二次系統(tǒng)的網(wǎng)絡(luò)化、數(shù)字化和智能化，變電站二次信息安全的形勢變得日益嚴峻，當前比較明顯的安全風險主要有：從結(jié)構(gòu)上講，二次系統(tǒng)組網(wǎng)邊界上存在安全風險。二次系統(tǒng)作為相對獨立的應(yīng)用系統(tǒng)，其組網(wǎng)結(jié)構(gòu)安全性比較高，如果是和別的系統(tǒng)開放性互聯(lián)的甚至直接連接到公共通信網(wǎng)，則風險就比較高。從網(wǎng)絡(luò)設(shè)備來講，二次系統(tǒng)中網(wǎng)絡(luò)設(shè)備本身存在安全風險。每個網(wǎng)絡(luò)設(shè)備的操作系統(tǒng)有沒有漏洞，應(yīng)用軟件會不會有邏輯炸彈，端口是否合理開放，通信協(xié)議是不是保密傳輸，網(wǎng)絡(luò)設(shè)備在受到攻擊時是否健壯等。從網(wǎng)絡(luò)行為來講，二次系統(tǒng)不同業(yè)務(wù)復(fù)雜的通信交互帶來風險，外部接入的運維也帶來的風險。因此變電站二次安防體系的架構(gòu)設(shè)計是否全面并且實用非常重要。

傳統(tǒng)的變電站二次安防體系側(cè)重系統(tǒng)結(jié)構(gòu)的邊界安全，網(wǎng)絡(luò)設(shè)備的本體安全尤其是網(wǎng)絡(luò)通信的行為安全監(jiān)控不足?，F(xiàn)在智能變電站的二次系統(tǒng)功能日益復(fù)雜，通信的網(wǎng)絡(luò)化已經(jīng)普遍，運維手段日趨多樣化，因而變電站傳統(tǒng)的側(cè)重邊界的安全防護體系顯出不足。

因此，需要研究設(shè)計一種更全面適用的安全防護體系，在系統(tǒng)的邊界結(jié)構(gòu)安全、網(wǎng)絡(luò)節(jié)點設(shè)備的本體安全、通信交互的行為安全三個方面去建立一種多層次的立體的安全防護體系架構(gòu)。

技術(shù)實現(xiàn)要素：

本發(fā)明的目的，在于提出一種三位一體的變電站二次系統(tǒng)安全防護體系架構(gòu)，在系統(tǒng)的邊界結(jié)構(gòu)安全、網(wǎng)絡(luò)節(jié)點設(shè)備的本體安全、通信交互的行為安全三個方面去完善優(yōu)化現(xiàn)在安全防護的不足。

為了達成上述目的，本發(fā)明的解決方案具體如下：

1)構(gòu)建一種三位一體的變電站二次系統(tǒng)安全防護體系架構(gòu)，包括結(jié)構(gòu)安全子系統(tǒng)、本體安全子系統(tǒng)、行為安全子系統(tǒng)的多層次的立體的組合，其特征在于：

構(gòu)建集成結(jié)構(gòu)安全、本體安全、行為安全的多層次的立體的變電站二次系統(tǒng)安全防護體系，在系統(tǒng)網(wǎng)絡(luò)的邊界上設(shè)置電力專用縱向加密認證裝置、正反向網(wǎng)絡(luò)隔離裝置、防火墻作為第一道安全防線，守護二次系統(tǒng)整體的邊界安全；在網(wǎng)絡(luò)節(jié)點設(shè)備本身上，進行系統(tǒng)加固設(shè)置第二道安全防線，守護二次系統(tǒng)中各個網(wǎng)絡(luò)設(shè)備在業(yè)務(wù)上基本的功能安全；在二次系統(tǒng)網(wǎng)絡(luò)通信的整個過程中，建立網(wǎng)絡(luò)行為安全管控系統(tǒng)，包括網(wǎng)絡(luò)行為安全監(jiān)控裝置和網(wǎng)絡(luò)節(jié)點設(shè)備核查代理程序，實時監(jiān)測網(wǎng)絡(luò)通信行為，評估安全風險，實時推送預(yù)警提示，并對系統(tǒng)的網(wǎng)絡(luò)安全進行審計。

2)構(gòu)建結(jié)構(gòu)安全子系統(tǒng)，作為三位一體多層次立體組合的安防體系的第一道安全防線，在二次系統(tǒng)網(wǎng)絡(luò)獨立組網(wǎng)的邊界上設(shè)置加密認證裝置、網(wǎng)絡(luò)隔離裝置和防火墻設(shè)備。結(jié)構(gòu)安全實現(xiàn)二次系統(tǒng)的業(yè)務(wù)出口、內(nèi)部不同安全等級區(qū)域間交互的通信的安全防護，防止非法訪問和外部攻擊，保障二次系統(tǒng)整體的邊界安全。

3)構(gòu)建本體安全子系統(tǒng)，作為三位一體多層次立體組合的安防體系的第二道安全防線，是在二次系統(tǒng)的網(wǎng)絡(luò)節(jié)點設(shè)備上進行系統(tǒng)加固，采用安全的硬件系統(tǒng)和安全的操作系統(tǒng)，關(guān)閉不安全的端口服務(wù)，增強用戶口令的復(fù)雜度和強度，建立基于角色的訪問控制，建立事件的記錄和審計，對外通信建立加密認證控制。第二道安全防線實現(xiàn)網(wǎng)絡(luò)節(jié)點設(shè)備本身的運行安全，防止對設(shè)備本身的非法訪問和惡意攻擊，保障二次系統(tǒng)設(shè)備在功能運行上的安全。

4)構(gòu)建行為安全子系統(tǒng)，作為三位一體多層次立體組合的安防體系對網(wǎng)絡(luò)行為的安全管控，包括獨立設(shè)置行為安全監(jiān)控裝置和在網(wǎng)絡(luò)節(jié)點設(shè)備中安裝設(shè)備核查代理程序。行為安全監(jiān)控裝置通過系統(tǒng)關(guān)鍵交換機上的鏡像網(wǎng)口，獲取系統(tǒng)網(wǎng)絡(luò)交互的全部通信數(shù)據(jù)，實時監(jiān)測網(wǎng)絡(luò)通信行為，核查網(wǎng)絡(luò)節(jié)點設(shè)備的網(wǎng)絡(luò)行為，存儲原始報文和系統(tǒng)日志，評估安全風險，實時推送預(yù)警提示，并對系統(tǒng)的網(wǎng)絡(luò)安全進行審計。網(wǎng)絡(luò)行為安全管控實現(xiàn)對二次系統(tǒng)網(wǎng)絡(luò)行為的實時監(jiān)控和分析，對安全風險進行評估和預(yù)警，保障二次系統(tǒng)網(wǎng)絡(luò)交互的安全水平。

本發(fā)明的有益效果是：構(gòu)建集成結(jié)構(gòu)安全、本體安全、行為安全的多層次立體的變電站二次系統(tǒng)的安全防護體系，改變了變電站二次系統(tǒng)安防體系上長期側(cè)重于邊界防護而缺少立體縱深防護的安全設(shè)計，在系統(tǒng)網(wǎng)絡(luò)的邊界、節(jié)點設(shè)備、通信行為上全面監(jiān)管安全風險，進行全系統(tǒng)立體的實時監(jiān)測和風險評估，可以大大提高二次系統(tǒng)的安全性能。

附圖說明

圖1為本發(fā)明中的體系整體架構(gòu)圖；

圖2為本發(fā)明中的體系架構(gòu)中的結(jié)構(gòu)安全子系統(tǒng)圖；

圖3為本發(fā)明中的體系架構(gòu)中的本體安全子系統(tǒng)圖；

圖4為本發(fā)明中的體系架構(gòu)中的行為安全子系統(tǒng)圖；

具體實施方式

為使本發(fā)明的技術(shù)方案和特點更加明確，下面對本發(fā)明作進一步的闡述。

1)本發(fā)明中的體系整體架構(gòu)圖如圖1所示，構(gòu)建集成結(jié)構(gòu)安全子系統(tǒng)、本體安全子系統(tǒng)、行為安全子系統(tǒng)的多層次立體的變電站二次系統(tǒng)的安全防護體系架構(gòu)。

2)在系統(tǒng)網(wǎng)絡(luò)的邊界上設(shè)置電力專用縱向加密認證裝置、正反向網(wǎng)絡(luò)隔離裝置、防火墻作為第一道安全防線，守護二次系統(tǒng)整體的邊界安全。

3)在網(wǎng)絡(luò)節(jié)點設(shè)備本身上，進行系統(tǒng)加固設(shè)置第二道安全防線，守護二次系統(tǒng)中各個獨立設(shè)備在業(yè)務(wù)上基本的功能安全。

4)在系統(tǒng)網(wǎng)絡(luò)通信的整個過程中，建立網(wǎng)絡(luò)行為安全管控系統(tǒng)，實時監(jiān)測和審計網(wǎng)絡(luò)通信行為，評估安全風險。

1)本發(fā)明中的體系架構(gòu)中的結(jié)構(gòu)安全子系統(tǒng)圖如圖2所示，作為第一道安全防線的結(jié)構(gòu)安全子系統(tǒng)，在變電站二次系統(tǒng)網(wǎng)絡(luò)的邊界上按照“網(wǎng)絡(luò)專用、安全分區(qū)、橫向隔離、縱向認證”的原則設(shè)置安全措施，其特征還在于以下步驟：

步驟一，二次系統(tǒng)的網(wǎng)絡(luò)按照物理獨立的原則建設(shè)，和外部網(wǎng)絡(luò)沒有直接相連的環(huán)節(jié)；

步驟二，將二次系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)劃分為生產(chǎn)控制區(qū)和信息管理區(qū)，兩個區(qū)域分別具備不同的安全等級；

步驟三，在二次系統(tǒng)的生產(chǎn)控制區(qū)向主站的遠動通信出口處，設(shè)置電力專用縱向加密認證裝置，實現(xiàn)通信建立的認證和信息傳輸?shù)募用埽?/p>

步驟四，在二次系統(tǒng)的生產(chǎn)控制區(qū)和信息管理區(qū)之間，設(shè)置正反向物理隔離裝置，實現(xiàn)不能安全等級區(qū)域之間的數(shù)據(jù)單向傳輸；

步驟五，在二次系統(tǒng)的信息管理區(qū)向主站的通信出口處，設(shè)置防火墻，實現(xiàn)通信訪問和數(shù)據(jù)交互的安全過濾；

5)本發(fā)明中的體系架構(gòu)中的本體安全子系統(tǒng)圖如圖3所示，作為第二道安全防線的本體安全子系統(tǒng)，在網(wǎng)絡(luò)節(jié)點設(shè)備上進行系統(tǒng)加固，其特征還在于以下步驟：

步驟一，采用安全的芯片、主板，設(shè)計網(wǎng)絡(luò)設(shè)備的硬件系統(tǒng)；

步驟二，采用安全的操作系統(tǒng)，設(shè)計網(wǎng)絡(luò)設(shè)備的軟件系統(tǒng)環(huán)境；

步驟三，關(guān)閉不安全的端口和服務(wù)；

步驟四，增強用戶口令的復(fù)雜度和強度；

步驟五，在設(shè)備訪問上建立基于角色的訪問控制；

步驟六，建立事件的記錄和審計；

步驟七，對外通信建立加密認證控制；

6)本發(fā)明中的體系架構(gòu)中的行為安全子系統(tǒng)圖如圖4所示，作為網(wǎng)絡(luò)行為安全管控的行為安全子系統(tǒng)，在系統(tǒng)網(wǎng)絡(luò)通中設(shè)置獨立的行為安全監(jiān)控裝置和安裝在網(wǎng)絡(luò)節(jié)點設(shè)備中的設(shè)備核查代理程序兩個部分，其特征還在于以下步驟：

步驟一，在系統(tǒng)網(wǎng)絡(luò)的關(guān)鍵交換機上建立鏡像口，獲取通過該交換機的全部交互數(shù)據(jù)；

步驟二，通過監(jiān)測交換機通信數(shù)據(jù)，監(jiān)測網(wǎng)絡(luò)行為，監(jiān)測網(wǎng)絡(luò)流量，監(jiān)視分析網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)連接的合法性；

步驟三，通過交換機鏡像口，采集原始報文，存儲原始報文；

步驟四，建立網(wǎng)絡(luò)異常行為和原始現(xiàn)場報文的關(guān)聯(lián)佐證；

步驟五，發(fā)現(xiàn)網(wǎng)絡(luò)異常后立即推送到界面告警提醒；

步驟六，網(wǎng)絡(luò)節(jié)點設(shè)備中的設(shè)備核查代理程序?qū)崟r掃描設(shè)備中的進程、移動存儲設(shè)備接入的特征變化，發(fā)送消息給行為安全監(jiān)控裝置，進行記錄、告警；

步驟七，日志記錄和事件審計；

步驟八，行為安全監(jiān)控裝置實時評估網(wǎng)絡(luò)安全的風險，給出分析結(jié)果；

需要說明的是，以上所述僅表達了本發(fā)明的實施方式，其描述較為具體和詳細，但并不能因此而理解為對本發(fā)明專利范圍的限制。應(yīng)當指出的是，對于本領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明構(gòu)思的前提下，還可以做出若干變形和改進，這些都屬于本發(fā)明的保護范圍。因此，本發(fā)明專利的保護范圍應(yīng)以所附權(quán)利要求為準。